#pentest

Telegram Desktop под атакой прокси: деанонимизация, утечка секретов и RCE с правами SYSTEM 🎯

Telegram Desktop делегирует обработку HTTP/SOCKS5-прокси библиотеке Qt. Исследователи обнаружили, что враждебный прокси-сервер мог одним ответом 407 Proxy Authentication Required с заголовком Proxy-Authenticate: NTLM заставить Qt без предупреждения пользователя и самого приложения запустить устаревший протокол NTLM-аутентификации и обратиться к системным SSO-учётным данным Windows через SSPI.

Если имя пользователя для прокси не было явно указано, Qt автоматически брал учётные данные текущей Windows-сессии — то есть корпоративной доменной учётной записи. Атакующему не требовалось знать пароль или взламывать хеш: контролируемый прокси просто пересылал полученные NTLM-сообщения другому корпоративному сервису (Exchange, AD CS, SMB, LDAP) в режиме реального времени — классический NTLM Relay.

Познакомиться с подробным исследованием можно по следующей ссылке.